عاجل ومؤقت: ثغرة PHP حرجة. كيف تفحص ←

استجابة عملية للحوادث

دليل الاستجابة لتسريب البيانات

حافظ على هدوئك واجمع الوقائع

ما العمل عندما تكون مؤسستك — أو مزوّد تعتمد عليه — قد تعرّضت لتسريب بيانات. ابدأ بالوقائع، واحمِ الأشخاص، واحتفظ بسجل لكل قرار.

افتح Incident Watch

إذا كان الهجوم لا يزال جاريًا، فتعامل معه كحالة طوارئ.

استعن بدعم موثوق للاستجابة للحوادث وبمسار الإبلاغ الخاص بحكومة المملكة المتحدة. وإذا سُرقت أموال، فاتصل بمصرفك فورًا. لا تعتمد على قائمة التحقق العامة هذه بدلًا من المشورة المهنية.

تصرّف الآن

تنطبق هذه الإجراءات سواء جاء التحذير الأول من أنظمتك، أو من عميل، أو من باحث، أو من مورّد.

١

عيّن قائدًا واحدًا للحادثة

امنح شخصًا واحدًا صلاحية تنسيق العمل التقني والقانوني والتشغيلي والاتصالي. وانقل النقاشات الحساسة إلى قناة موثوقة إذا كان البريد الإلكتروني أو المراسلة المعتادة قد تأثرت.

٢

ابدأ سجل الحادثة

سجّل متى علمت أول مرة، ومن أبلغ، والوقائع المعروفة، والقرارات، والمسؤولين، والأوقات. افصل الوقائع عن الافتراضات. فقد يكون عدّاد الإبلاغ بموجب UK GDPR قد بدأ بالفعل.

٣

احفظ الأدلة

احمِ السجلات والتنبيهات ورسائل البريد الإلكتروني وصور الأنظمة وإشعارات المورّدين ذات الصلة قبل أن تنتهي صلاحيتها أو يُكتب فوقها. لا تمسح الأنظمة المتأثرة ولا تُعِد بناءها ولا تحذفها حتى يؤكد مختص في الحوادث أن ذلك آمن.

٤

احتوِ دون أن تفقد السيطرة

اعزل الأنظمة المتأثرة حيث يكون ذلك آمنًا، وألغِ الجلسات والرموز المميزة المكشوفة، واحجب الوصول الخبيث المؤكد، واحمِ النسخ الاحتياطية السليمة. استخدم جهازًا معروفًا بسلامته لإجراء التغييرات الحساسة على الحسابات.

٥

حدّد ما الذي تأثر

حدّد الأنظمة والأشخاص والبيانات الشخصية وخدمات الأعمال والمورّدين المعنيين. وتحقق مما إذا كانت البيانات قد عُرضت أو غُيّرت أو أُتلفت أو أصبحت غير متاحة.

٦

استعن بالمساعدة المناسبة

أبلغ الإدارة العليا ومسؤول حماية البيانات وشركة التأمين والمستشار القانوني ومزوّد الاستجابة للحوادث حسب الاقتضاء. وتحقق من شروط الوثيقة والعقد قبل اتخاذ إجراءات قد تؤثر في التغطية التأمينية أو الأدلة.

الجدول الزمني للاستجابة

اعمل بالتوازي حيثما أمكن. الترتيب إرشادي، وليس إذنًا بتأخير الاحتواء العاجل أو الإبلاغ.

أول ١٥ دقيقة

  • تأكّد من وجود حادثة وعيّن القائد.
  • ابدأ سجلًا مختومًا بالوقت ودوّن متى بدأ العلم بالحادثة.
  • احمِ قنوات الاتصال الموثوقة وبيانات الاتصال في حالات الطوارئ.

الساعة الأولى

  • احفظ الأدلة واحتوِ الوصول أو الأنظمة المتأثرة بأمان.
  • حدّد الخدمات الحرجة والبيانات الشخصية والأشخاص المرجّح تأثرهم.
  • أبلغ المختصين الداخليين وشركات التأمين وفرق الاستجابة الخارجية حسب الحاجة.

أول ٢٤ ساعة

  • ابنِ جدولًا زمنيًا عمليًا، وتقييمًا للأثر، وقائمة بأولويات التعافي.
  • قرّر أيّ المنظّمين أو العملاء أو المتحكّمين أو الأطراف الأخرى قد يحتاجون إلى إخطار.
  • أعِدّ بيانات مبدئية دقيقة دون تكهّن أو إلقاء لوم.

خلال ٧٢ ساعة

  • إذا تحققت عتبة UK GDPR، فأخطِر ICO دون تأخير غير مبرر، وخلال ٧٢ ساعة من العلم حيثما أمكن.
  • إذا كانت المعلومات ناقصة، فأبلغ بما هو معروف وقدّم التحديثات لاحقًا بدلًا من انتظار تحقيق نهائي.
  • سجّل أسبابك سواء أبلغت أم لم تُبلغ. وأبلغ الأشخاص المتأثرين دون تأخير غير مبرر حيث يكون الخطر عليهم مرتفعًا.

التعافي والمراجعة

  • استعِد العمل من أنظمة ونسخ احتياطية معروفة بسلامتها، ثم راقب احتمال التكرار.
  • تأكّد من أن الاحتواء المؤقت أصبح معالجة دائمة.
  • راجع الأسباب الجذرية وضوابط المورّدين وقرارات الاستجابة والدروس المستفادة، مع مسؤولين محددين بالاسم ومواعيد نهائية.

عندما يكون التسريب لدى مزوّد

إعلان المزوّد يبدأ تقييمك. ولا يُنهيه.

احمِ مؤسستك

  • تأكّد من الإشعار عبر قناة موثوقة لدى المزوّد.
  • حدّد الخدمات والتكاملات وتدفقات البيانات والمورّدين اللاحقين المتأثرين.
  • ألغِ أو بدّل بيانات الدخول والمفاتيح والرموز المميزة المكشوفة من نظام معروف بسلامته.
  • قيّد الاتصالات المتأثرة وفعّل ترتيبات استمرارية الأعمال بما يتناسب مع الوضع.
  • راجع العقود واتفاقيات معالجة البيانات والتزامات الخدمة وشروط التأمين.
  • ابدأ تقييمك الخاص للمخاطر؛ لا تنتظر التقرير النهائي من المزوّد.

اسأل المزوّد — كتابيًا

  • ماذا حدث، ومتى علمتم به أول مرة؟
  • هل تأثرت خدماتنا أو حساباتنا أو أنظمتنا أو بياناتنا بشكل مؤكد أو محتمل؟
  • ما فئات البيانات الشخصية والأشخاص المعنيين وأعدادهم التقريبية؟
  • هل عُرضت البيانات أو نُسخت أو غُيّرت أو أُتلفت أو أصبحت غير متاحة؟
  • ما الحسابات أو بيانات الدخول أو الرموز المميزة أو التكاملات أو المورّدون اللاحقون المتأثرون؟
  • ما الاحتواء الذي اكتمل، وما الذي لا يزال معرّضًا للخطر، وما الذي ينبغي أن نفعله الآن؟
  • ما الأدلة التي ستحتفظون بها، ومتى ستقدّمون التحديث المكتوب التالي؟
اعرف دورك. يجب على المعالِج إبلاغ المتحكّم بأي تسريب للبيانات الشخصية دون تأخير غير مبرر. ويبقى المتحكّم مسؤولًا عن تقييم المخاطر وتقرير ما إذا كان يجب إخطار ICO والأشخاص المتأثرين.

حماية البيانات والإبلاغ عن الحوادث في المملكة المتحدة

ليست كل حادثة أمنية تسريبًا للبيانات الشخصية، وليس كل تسريب للبيانات الشخصية واجب الإبلاغ إلى ICO. لكن يجب مع ذلك تقييم كل تسريب وتسجيله.

أخطِر ICO عند الاقتضاء

إذا كان تسريب البيانات الشخصية مرجّحًا أن يشكّل خطرًا على حقوق الأشخاص وحرياتهم، فأخطِر ICO دون تأخير غير مبرر، وخلال ٧٢ ساعة من العلم به حيثما أمكن. ويمكن تقديم المزيد من المعلومات على مراحل.

أبلغ الأشخاص المتأثرين عندما يكون الخطر مرتفعًا

حيث يكون التسريب مرجّحًا أن يشكّل خطرًا مرتفعًا على الأشخاص، أبلغهم دون تأخير غير مبرر. اشرح ما حدث، والعواقب المحتملة، وما تفعله، والخطوات العملية التي يمكنهم اتخاذها.

لا تنتظر اليقين. سجّل متى علمت مؤسستك، وضع تقييمًا أوليًا مسبّبًا، وحدّثه مع تغيّر الوقائع. وقد تفرض قواعد أو عقود أخرى إخطارات أبكر.

احتفظ بسجل واحد للحادثة

استخدم سجلاً مشتركاً ومضبوطاً وقيّد الوصول إليه، لأنه قد يحتوي على معلومات حساسة. وإذا كنت تفضّل ألّا تنشئه من الصفر، فإن Incident Watch يحتفظ بسجل مؤرَّخ يكشف أي تلاعب، إلى جانب عدّاد الـ ٧٢ ساعة — في كل الخطط، بما فيها الخطة المجانية.

  • متى وقعت الحادثة، ومتى اكتُشفت، ومتى علمت بها مؤسستك
  • كيف اكتُشفت، والأنظمة والمواقع والمورّدون والحسابات المعنية
  • فئات الأشخاص المتأثرين وسجلات البيانات الشخصية وأعدادها التقريبية
  • العواقب المعروفة والمحتملة على الأشخاص وخدمات الأعمال
  • الأدلة المحفوظة، والاحتواء المتخذ، وإجراءات التعافي المخطط لها
  • القرارات، والمسؤولون، والموافقات، والأدلة الداعمة لكل قرار
  • الإخطارات المرسلة، وبيانات الاتصال المستخدمة، ونسخ مما أُبلغ
  • أسباب أي تأخير، وأسباب الإبلاغ أو قرار عدم الإبلاغ

احفظ فقط ما تحتاجه الاستجابة، وقيّد الوصول، وطبّق فترة احتفاظ مناسبة. تجنّب نسخ البيانات الشخصية المكشوفة إلى أنظمة الدردشة أو التذاكر أو البريد العامة لمجرد التيسير.

مكان لحفظه: Incident Watch

تخبرك هذه الصفحة بما يجب فعله. أما Incident Watch فهو المكان الذي تفعله فيه: متابعة حيّة لحادثة اختراق واحدة، مبنية حول الحادثة لا حول نطاق، لأن الاختراق يشمل عادةً أكثر من مؤسسة، وكثيراً ما لا يكون الشخص الذي يديره هو من تعرّض للاختراق.

  • عدّاد تنازلي لمدة ٧٢ ساعة يبدأ من التاريخ الذي تسجّل فيه علمك بالحادثة
  • سجل يكشف أي تلاعب: القيود مترابطة، بحيث يمكن اكتشاف أي تعديل لاحق على قيد سابق
  • المؤسسات المعنية، ولكل منها دورها في هذه الحادثة
  • التغطية العامة تُجمع لك مؤرَّخة، لترى ما هو جديد

مجاني في كل الخطط — حادثة واحدة نشطة في كل مرة، وتحتفظ بالوصول إلى كل ما تسجّله أيًّا كانت خطتك. الأخبار والبيانات المنشورة علنًا فقط؛ وهو ليس بديلًا عن إخطارات مزوّدك ولا عن تقييمك التنظيمي الخاص.

افتح حادثة — مجانًا

قبل أن تغلق الحادثة

  • □ تأكّد من التعافي من أنظمة ونسخ احتياطية معروفة بسلامتها.
  • □ راقب احتمال التكرار وما يتبعه من احتيال أو تصيّد.
  • □ أغلق صلاحيات الوصول المؤقتة والاستثناءات الطارئة.
  • □ حدّث المعلومات للأشخاص المتأثرين والسلطات عند تغيّر الوقائع.
  • □ عيّن لكل إجراء تصحيحي مسؤولًا وموعدًا نهائيًا.
  • □ اختبر خطة الاستجابة المعدّلة وضوابط المورّدين.

مهم: يقدّم هذا الدليل إرشادات تشغيلية عامة، وليس استشارة قانونية أو تنظيمية أو تأمينية أو جنائية رقمية. وتعتمد الواجبات على دورك وقطاعك وعقودك والأشخاص المتأثرين والولايات القضائية.

رُوجعت الإرشادات مقابل مواد ICO وNCSC في ٤ أغسطس ٢٠٢٦. وقد تتغيّر الإرشادات الرسمية؛ فاتبع دائمًا المصادر المرتبطة. لا تجمع هذه الصفحة معلومات عن الحوادث ولا ترسلها.

العودة إلى الأعلى